10 月下旬，四款 WordPress 主题被披露存在 CVSS 3.1 评分 9.8 的反序列化漏洞，攻击者无需登录、无需用户交互，只要能向站点发请求就可能触发 PHP 对象注入。另有第五款主题 Reprizo 被单独记录同类问题。漏洞编号为 CVE-2026-112846、CVE-2026-112847、CVE-2026-112848、CVE-2026-112851，以及 CVE-2026-112857。
受影响的主题与版本
- CVE-2026-112846：ThemeREX Save Life，1.2.14 及之前
- CVE-2026-112847：ThemeREX ZenSoul，1.13 及之前
- CVE-2026-112848：AivahThemes Hostme v2，7.0 及之前
- CVE-2026-112851：ThemeREX HotLock，1.3.9 及之前
- CVE-2026-112857：axiomthemes Reprizo，1.0.8 及之前
五个漏洞的向量一致：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H。根因是 CWE-502，即对不可信数据执行反序列化，攻击者在请求中塞入序列化字符串即可注入 PHP 对象。
为什么 9.8 分不等于一定能打穿
PHP 对象注入要变成实际的代码执行，还需要站点已安装的代码里存在可用的 gadget 链（魔术方法串联）。CVE 记录本身没有描述具体利用链，也不点名存在问题的函数或参数。所以 9.8 分描述的是理论上限：一旦站点里恰好装着可拼接的插件或主题组件，链条就成立；如果环境干净，注入的只是一个无害对象。判断能不能打穿，取决于站点自身的代码组合，而不是漏洞本身。
修复状态同样要说清。CVE 记录中没有列出修复版本，厂商产品页显示的较新版本（Save Life 1.2.18、Reprizo 1.0.15）目前无法确认已修复该问题。Reprizo 的漏洞由 João Pedro S Alcântara（Kinorth）通过 Patchstack 漏洞赏金计划提交。截至记录更新，未见公开利用，也未进入 CISA KEV 目录。
为什么主题漏洞总被低估
很多站长的维护清单里只有插件和核心，主题被当成”外观资源”。但主题就是可执行代码，一样能注册 AJAX 动作、处理表单、读取选项。更常见的坑是”停用未删除”——停用的主题文件仍躺在 wp-content/themes 下，扫描器能探测到，攻击者也能直接请求主题目录里的 PHP 文件，停用并不等于移除。
# 列出已安装主题（含未启用）
wp theme list --path=/var/www/html
# 确认目标主题版本
wp theme get save-life --fields=name,version,status
# 彻底移除不用的主题
wp theme delete hotlock zensoul修复建议
- 盘点全站主题目录，把 Save Life、ZenSoul、Hostme v2、HotLock、Reprizo 逐个核对版本。
- 不用的主题直接删除，不要只停用，这条对减少攻击面的收益最大。
- 在厂商确认修复前，升级到最新版只是尽力而为，不能当作已修复；关键站点可先切换到维护活跃的替代主题。
- 在 WAF 层拦截请求参数、Cookie 与请求体中携带序列化 PHP 对象的载荷，特征形如
O:数字:"类名"。 - 复查日志中的可疑请求，并检查主题目录、上传目录是否出现异常 PHP 文件与新增管理员账号。